💬 NLP

Forgotten in Weights, Recovered by Tools: Agentic Tool Unlearning for LLM Agents

Este artigo introduz o Agentic Tool Unlearning (ATU), um framework de dois estágios que combina a supressão de conhecimento paramétrico com o aprendizado por reforço em nível de trajetória para impedir que agentes de grandes modelos de linguagem recuperem informações esquecidas por meio de ferramentas externas, ao mesmo tempo em que preserva sua utilidade para o conhecimento retido.

Autores originais: Baicheng Chen, Zheyuan Liu, Jingyu Zhang, Kaize Ding, Ningshan Ma, Yue Huang, Meng Jiang

Publicado 2026-08-25

📖 4 min de leitura☕ Leitura rápida

CC0 1.0

Autores originais: Baicheng Chen, Zheyuan Liu, Jingyu Zhang, Kaize Ding, Ningshan Ma, Yue Huang, Meng Jiang

Artigo original dedicado ao domínio público sob CC0 1.0 (http://creativecommons.org/publicdomain/zero/1.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Os grandes modelos de linguagem são os motores por trás de muitos assistentes digitais modernos, capazes de gerar texto, responder perguntas e manter conversas. Durante anos, pesquisadores têm se concentrado em ensinar esses modelos a "esquecer" informações específicas, como dados privados ou histórias protegidas por direitos autorais, ajustando as configurações internas que armazenam o conhecimento. Esse processo, conhecido como desaprendizado de máquina (machine unlearning), visa remover a influência de certos fatos para que o modelo não consiga mais recordá-los. No entanto, uma nova complicação surgiu à medida que esses modelos evoluem de simples geradores de texto para agentes ativos. Esses agentes não dependem apenas de sua memória interna; eles podem alcançar o mundo exterior, usando ferramentas como mecanismos de busca na web ou bancos de dados para encontrar respostas em tempo real. Essa mudança cria uma brecha: mesmo que um modelo tenha esquecido com sucesso um fato internamente, ele ainda pode recuperar esse mesmo fato na internet e apresentá-lo como sua própria resposta, efetivamente contornando o processo de esquecimento.

Uma equipe de pesquisadores identificou esse modo de falha específico, que chamam de "recuperação mediada por ferramentas" (tool-mediated recovery), e desenvolveu um novo método para fechar essa lacuna. Em seu estudo, eles demonstraram que as técnicas padrão de desaprendizado de conhecimento são insuficientes quando o modelo é implantado como um agente com acesso a ferramentas externas. Eles descobriram que, embora um modelo possa parecer ter esquecido uma informação quando testado isoladamente, ele pode facilmente recuperar essa informação assim que lhe é permitido pesquisar na web ou consultar dados em um banco de dados. Para resolver isso, os pesquisadores propuseram uma estrutura de treinamento de dois estágios. O primeiro estágio realiza o trabalho tradicional de suprimir a memória interna da informação indesejada. O segundo estágio é mais complexo; ele treina o modelo em um ambiente simulado onde ele atua como um agente, aprendendo a reconhecer quando uma busca ou chamada de ferramenta levaria à informação proibida e escolhendo, em vez disso, parar ou fornecer uma resposta segura e não reveladora.

Os pesquisadores testaram essa abordagem em cenários do mundo real envolvendo pessoas famosas e livros protegidos por direitos autorais. Em um conjunto de experimentos, eles mediram a frequência com que um modelo que passou pelo desaprendizado acidentalmente revelaria um fato esquecido. Quando o modelo era usado como um gerador de texto padrão sem ferramentas, ele evitava com sucesso a informação. No entanto, assim que o mesmo modelo recebia acesso a ferramentas de busca, sua capacidade de esconder a informação colapsava, e ele começava a revelar os fatos esquecidos em uma taxa muito mais alta. Por exemplo, em um teste envolvendo figuras públicas, a taxa de divulgação acidental saltou de um nível baixo em isolamento para um nível alto quando as ferramentas foram habilitadas. Isso confirmou que as próprias ferramentas estavam atuando como um canal de recuperação, permitindo que o modelo reconstruísse o conhecimento que deveria ter deletado.

Para enfrentar isso, os pesquisadores aplicaram seu método de dois estágios. Após o desaprendizado interno inicial, eles submeteram o modelo ao segundo estágio de treinamento, onde ele praticou a interação com ferramentas em um ambiente controlado. Durante essa fase, o modelo era recompensado por evitar a informação proibida, mesmo quando as ferramentas a forneciam, e penalizado por tentar usar as ferramentas para encontrar esses dados específicos. Os resultados mostraram que esse treinamento adicional reduziu significamente a capacidade do modelo de recuperar a informação esquecida através de ferramentas. Nos testes sobre figuras públicas, o método reduziu a taxa de divulgação acidental por uma margem substancial em comparação com os modelos que passaram apenas pelo primeiro estágio de desaprendizado. Da mesma forma, em testes envolvendo conteúdo de livros protegidos por direitos autorais, o método impediu o modelo de usar bancos de dados locais para recuperar o texto oculto.

Crucialmente, os pesquisadores garantiram que este novo método não quebrasse a capacidade do modelo de funcionar normalmente. Eles verificaram que o modelo ainda podia usar ferramentas de forma eficaz para tarefas que não envolviam a informação proibida, como pesquisar fatos gerais ou realizar cálculos. O treinamento não forçou o modelo a recusar todo o uso de ferramentas ou a tornar-se inútil; ele simplesmente ensinou o modelo a traçar uma linha, sabendo quando parar de pesquisar para proteger dados sensíveis específicos. O estudo sugere que, para o desaprendizado ser verdadeiramente eficaz na era moderna dos agentes inteligentes, ele deve considerar como esses agentes interagem com o mundo, não apenas como armazenam dados internamente. Ao treinar o modelo para resistir à tentação de usar ferramentas para recuperar o conhecimento deletado, os pesquisadores criaram uma maneira mais robusta de garantir que a informação esquecida permaneça esquecida, mesmo em um ambiente digital conectado.

Resumo Técnico: Desaprendizado de Ferramentas Agênticas para Agentes de LLM

Definição do Problema: Recuperação Mediada por Ferramentas

O artigo identifica um modo de falha crítico na implementação de métodos de desaprendizado de Grandes Modelos de Linguagem (LLMs). O desaprendizado de máquina tradicional visa remover informações específicas (o "alvo de esquecimento") dos parâmetros de um modelo, enquanto preserva sua utilidade em outras tarefas. No entanto, os protocolos de avaliação atuais testam primordialmente o desaprendizado em um cenário de inferência isolada (standalone), onde o modelo responde diretamente sem auxílios externos.

Os autores argumentam que essa avaliação é incompleta para agentes aumentados por ferramentas modernos. Em implementações do mundo real, agentes podem chamar ferramentas externas (ex: busca na web, consultas a bancos de dados, recuperação de documentos) para responder a consultas. O artigo define recuperação mediada por ferramentas como o fenômeno onde um agente, apesar de ter "esquecido" com sucesso um alvo em seus pesos paramétricos, recupera a informação esquecida ao recuperá-la através de ferramentas externas e incorporá-la em sua resposta final.

Isso cria um descompasso no nível de implantação: um modelo pode parecer desaprendido sob avaliação isolada (pontuações baixas no conjunto de esquecimento), mas efetivamente reaprende o alvo quando envolto em um framework de agente. Desativar ferramentas simplesmente não é uma solução viável, pois sacrifica a utilidade ampla e a factualidade que o aumento por ferramentas proporciona.

Metodologia: Desaprendizado de Ferramentas Agêntico (ATU)

Para abordar isso, os autores propõem o Desaprendizado de Ferramentas Agêntico (ATU), um framework de dois estágios projetado para suprimir tanto a recuperação paramétrica direta quanto a recuperação mediada por ferramentas, preservando o uso normal de ferramentas para o conhecimento retido.

Estágio 1: Desaprendizado de Conhecimento Paramétrico

O primeiro estágio aplica técnicas padrão de desaprendizado paramétrico ao LLM base ( $\pi_{\theta_0}$ ) usando um conjunto de esquecimento $F(c)$ e um conjunto de retenção $R$ . O objetivo é suprimir a recuperação direta do alvo de esquecimento. Os autores utilizam métodos existentes, como Ascensão de Gradiente (GA), Ajuste de Rejeição (RT), Otimização de Preferência Direta (DPO) e Otimização de Preferência Negativa (NPO), para produzir um modelo desaprendido intermediário ( $\pi_{\theta_1}$ ). Este estágio garante que o modelo não gere a resposta alvo apenas a partir de seus pesos internos.

Estágio 2: Desaprendizado de Ferramentas Agêntico (RL de Nível de Trajetória)

O segundo estágio aborda o canal de recuperação. O modelo $\pi_{\theta_1}$ é treinado adicionalmente em um ambiente simulado aumentado por ferramentas ( $E_{train}$ ) usando Otimização de Política Relativa de Grupo (GRPO).

Ambiente: O agente interage com um conjunto de ferramentas (ex: busca na web, bancos de dados locais) relevantes para os alvos de esquecimento.
Recompensa de Nível de Trajetória: Diferente do desaprendizado padrão que foca na saída final, o ATU atribui recompensas a toda a trajetória de interação $\tau = (x, a_1, o_1, \dots, a_K, o_K, y)$ $τ = (x, a_{1}, o_{1}, \dots, a_{K}, o_{K}, y)$ .
- Consultas de Esquecimento: Um juiz LLM congelado pontua a trajetória. Penalidades altas são atribuídas se o agente chamar ferramentas para buscar o alvo ou se a resposta final vazar o alvo. Recompensas são dadas para recusas seguras ou respostas não informativas que não revelem o alvo, mesmo que as ferramentas tenham sido chamadas.
- Consultas de Retenção: Recompensas incentivam respostas corretas e úteis e o uso apropriado de ferramentas para garantir que o modelo não degrade para uma política que recusa todas as consultas ou desativa ferramentas globalmente.
Objetivo: A política é atualizada para minimizar o comportamento de busca de alvo via ferramentas e o vazamento da resposta final, mantendo uma penalidade de divergência KL para permanecer próximo ao modelo do Estágio 1, preservando a utilidade geral.

Principais Contribuições

Identificação da Recuperação Mediada por Ferramentas: Os autores identificam formalmente e caracterizam um novo descompasso de nível de implantação, onde agentes aumentados por ferramentas contornam o desaprendizado paramétrico ao reconstruir o conhecimento esquecido através de observações de ferramentas externas.
Framework ATU: Eles propõem um novo framework de dois estágios que combina desaprendizado paramétrico com aprendizado por reforço de nível de trajetória. Esta abordagem visa especificamente o comportamento do agente em ambientes aumentados por ferramentas, penalizando chamadas de ferramentas de busca de alvo e vazamento de respostas.
Validação Empírica: Experimentos extensos em diferentes arquiteturas de LLM (Qwen-3-4B, Qwen-2.5-7B, Qwen-3-8B) e benchmarks (RWKU, MUSE) demonstram que o ATU reduz significativamente a recuperação mediada por ferramentas, mantendo a utilidade retida e as capacidades gerais de uso de ferramentas.

Resultados Experimentais

O artigo avalia o ATU nos benchmarks RWKU (Desaprendizado de Conhecimento do Mundo Real) e MUSE (Avaliação de Seis Vias de Desaprendizado de Máquina).

Gap de Recuperação: Experimentos confirmam a existência do gap de recuperação. Por exemplo, no RWKU com Qwen-3-4B, um modelo desaprendido via NPO (Estágio 1) reduziu sua pontuação no conjunto de esquecimento de 57.7 para 44.6 no modo isolado. No entanto, quando implantado como um agente, a pontuação saltou para 68.6, quase igualando o desempenho do modelo base.
Eficácia do ATU: A aplicação do Estágio 2 (ATU) mitigou significativamente essa recuperação. A configuração NPO + Estágio 2 reduziu a pontuação do conjunto de esquecimento no deployment de agente para 47.5, uma redução de 21.1 pontos em relação ao agente do Estágio 1. Melhorias semelhantes foram observadas em outros métodos de desaprendizado (GA, DPO, RT) e tamanhos de modelo.
Preservação de Utilidade: O framework preservou o sucesso da utilidade. Os modelos do Estágio 2 mantiveram pontuações altas em conhecimento vizinho (localidade), factualidade, fluência e raciocínio geral (MMLU, BBH). Crucialmente, os modelos mantiveram a capacidade de usar ferramentas para tarefas independentes do alvo (ex: cálculo de hash, consultas a banco de dados não relacionadas ao alvo de esquecimento), demonstrando que o ATU não suprime o uso de ferramentas globalmente.
Generalização: O método generalizou-se através de diferentes modelos de base e conjuntos de ferramentas. Mesmo quando as ferramentas de recuperação foram substituídas por APIs alternativas (ex: substituindo ddg-search por Tavily), o ATU continuou a reduzir a recuperação mediada por ferramentas, indicando que ele aprende um comportamento geral de evitar a busca de alvos em vez de sofrer overfitting a nomes de ferramentas específicos.

Significância e Alegações

O artigo alega que o desaprendizado de conhecimento paramétrico sozinho é insuficiente para o deployment seguro em configurações de agentes aumentados por ferramentas. A avaliação padrão de desaprendizado em saídas isoladas superestima a robustez porque ignora o canal de recuperação fornecido por ferramentas externas.

A significância do ATU reside em sua capacidade de alinhar o desaprendizado com a realidade do deployment de agentes. Ao treinar o modelo para reconhecer e evitar trajetórias de busca de alvo (incluindo chamadas de ferramentas e observações), o ATU fornece uma defesa mais robusta contra o vazamento de informações. Os autores posicionam este trabalho como um passo necessário para agentes de LLM mais seguros, garantindo que os requisitos de desaprendizado (como privacidade ou conformidade de direitos autorais) se mantenham mesmo quando o modelo é integrado em fluxos de trabalho complexos e habilitados por ferramentas.

O artigo permanece modesto quanto às limitações, reconhecendo que o ATU nem sempre fecha totalmente o gap em relação aos níveis de desempenho isolado e que a política aprendida ainda pode vazar informações se as observações das ferramentas forem explícitas ou se o ambiente de deployment diferir significativamente da simulação de treinamento. Eles sugerem que trabalhos futuros possam envolver monitores de tempo de execução ou controle de acesso no lado da ferramenta para fortalecer ainda mais essas defesas.